Se ha publicado un exploit de prueba de concepto (PoC) para la vulnerabilidad crítica de ejecución remota de código CVE-2026-55200 en libssh2. Este fallo afecta a las versiones hasta la 1.11.1 y se encuentra en la función ssh2_transport_read(), la cual procesa los paquetes SSH entrantes en el lado del cliente, lo que aumenta considerablemente el riesgo de ataques contra sistemas que no hayan sido actualizados.

Ya está disponible un exploit de prueba de concepto (PoC) público para la vulnerabilidad crítica de ejecución remota de código de libssh2, identificada como CVE-2026-55200, lo que aumenta significativamente el riesgo de ataques reales contra sistemas que no hayan sido parcheados.

El fallo afecta a las versiones de libssh2 hasta la 1.11.1 inclusive y reside en la función ssh2_transport_read(), que analiza los paquetes SSH entrantes en el lado del cliente.

La ruta de código vulnerable no aplica un límite superior al campo packet_length controlado por el atacante antes de utilizarlo en una expresión aritmética que calcula el tamaño de asignación para los paquetes descifrados.

Según se documenta en avisos recientes, esta longitud de paquete no verificada puede causar un desbordamiento de entero de 32 bits, lo que provoca una asignación de memoria heap insuficiente, seguida de escrituras fuera de los límites cuando el código posterior confía en el valor original y grande de packet_length.

PoC publicado para la vulnerabilidad de RCE de libssh2

Investigadores de seguridad han publicado ahora un PoC bajo el repositorio “exploitarium” que convierte este error de lógica en un marco de explotación práctico.

El conjunto de herramientas incluye un verificador C11 que reproduce la lógica aritmética vulnerable de libssh2, demostrando cómo un valor de packet_length manipulado (por ejemplo, 0xffffffff) puede activar una asignación de memoria diminuta mientras que el tamaño lógico del paquete sigue siendo extremadamente grande.

Esta discrepancia permite que las etapas posteriores del procesamiento de paquetes realicen operaciones como copias derivadas de packet_length, escribiendo efectivamente más allá del búfer asignado y corrompiendo las estructuras adyacentes del heap.

Junto con la sonda aritmética, el repositorio PoC incluye un servidor SSH malicioso mínimo implementado en Python que negocia una sesión SSH cifrada y luego envía un paquete malformado del servidor al cliente con un packet_length descifrado diseñado para activar el error.

La estructura del servidor ilustra que un servidor SSH malicioso o comprometido, o un atacante posicionado como "man-in-the-middle" en la ruta de red, puede explotar clientes basados en libssh2 vulnerables sin autenticación ni interacción del usuario, lo que coincide con la calificación CVSS 9.2 asignada a CVE-2026-55200.

Debido a que libssh2 es la base de herramientas populares como curl, agentes de respaldo, actualizadores de firmware y dispositivos embebidos, cualquier componente que enlace la biblioteca y se conecte a endpoints SSH no confiables se convierte en un objetivo potencial de RCE.

Para demostrar la ejecución de código de extremo a extremo, el proyecto exploitarium también proporciona un entorno de prueba de RCE local controlado y un controlador de exploit, en lugar de un exploit genérico para cada implementación de libssh2.

El entorno modela el patrón vulnerable de asignación-a-control y permite que el script de exploit desbordedesde el búfer insuficiente hacia un puntero de devolución (callback), escribiendo finalmente un archivo de prueba para confirmar el control exitoso de la ejecución del programa.

Este diseño enfatiza que, si bien el PoC confirma la viabilidad del RCE, adaptarlo para convertirlo en un exploit fiable para servicios del mundo real todavía depende de factores específicos del objetivo, como la disposición del binario, el comportamiento del asignador, las mitigaciones disponibles y la forma en que la aplicación integra libssh2.

Los mantenedores originales han solucionado el CVE-2026-55200 en el commit 97acf3dfda80c91c3a8c9f2372546301d4a1a7a8, que introduce una protección estricta que rechaza los valores de packet_length superiores a LIBSSH2_PACKET_MAXPAYLOAD antes de realizar la aritmética vulnerable.

Sin embargo, varias distribuciones y proyectos derivados todavía están adaptando o distribuyendo compilaciones parcheadas, y aún no se ha anunciado ampliamente ninguna nueva versión de libssh2 que contenga la corrección.

Ahora que hay un PoC operativo disponible, se insta a las organizaciones a hacer un inventario de cualquier software vinculado estática o dinámicamente a libssh2, aplicar los parches o correcciones adaptadas que incluyan el commit referenciado y restringir las conexiones a servidores SSH no confiables mientras se lleva a cabo la remediación.

Fuentes:
https://cybersecuritynews.com/poc-exploit-libssh2-rce-vulnerability/